Ngày 19 tháng 8 năm 2026, Chính phủ đã ban hành Nghị định số 330/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực an ninh mạng và bảo vệ dữ liệu cá nhân (“Nghị Định 330”). Có hiệu lực ngay từ ngày ban hành, Nghị Định 330 gồm 82 điều, trong đó có 33 điều quy định riêng về các hành vi vi phạm trong lĩnh vực bảo vệ dữ liệu cá nhân.

Sau nhiều phiên bản dự thảo, Nghị Định 330 chính thức đưa khung pháp lý về bảo vệ dữ liệu cá nhân vào giai đoạn thực thi, thông qua việc hoàn thiện cơ chế xử phạt đối với các hành vi không tuân thủ Luật Bảo vệ Dữ liệu Cá nhân số 91/2025/QH15 và Nghị định số 356/2025/NĐ-CP.

Bản tin pháp lý này phân tích những quy định đáng chú ý của Nghị Định 330 về bảo vệ dữ liệu cá nhân, đồng thời nhận diện các rủi ro pháp lý và ưu tiên tuân thủ đối với doanh nghiệp.

1. Khung chế tài nhiều tầng

Điểm đáng chú ý của Nghị Định 330 là sự kết hợp ba cơ chế xác định mức phạt: (i) khung phạt cố định theo từng hành vi; (ii) mức phạt dựa trên khoản thu có được từ hành vi vi phạm; và (iii) mức phạt dựa trên doanh thu.

Cụ thể, đối với tổ chức: (i) hành vi mua, bán trái phép dữ liệu cá nhân có thể bị phạt tới 10 lần khoản thu có được từ hành vi vi phạm; (ii) một số vi phạm nghiêm trọng về chuyển dữ liệu cá nhân xuyên biên giới có thể bị phạt tới 5% doanh thu của năm trước liền kề; và (iii) các hành vi vi phạm khác trong lĩnh vực bảo vệ dữ liệu cá nhân có mức phạt tối đa 3 tỷ đồng. Cá nhân thực hiện cùng hành vi chịu mức phạt bằng một phần hai mức phạt áp dụng đối với tổ chức.

Trường hợp mức phạt được xác định theo khoản thu có được từ hành vi vi phạm, khoản thu này được xác định dựa trên tổng giá trị giao dịch hoặc toàn bộ doanh thu thực tế từ hoạt động kinh doanh có sử dụng dữ liệu cá nhân vi phạm, mà không khấu trừ chi phí phát sinh. Vì vậy, rủi ro tài chính có thể lớn hơn đáng kể so với lợi nhuận ròng mà doanh nghiệp thực tế thu được.

Ngoài tiền phạt, Nghị Định 330 còn quy định các hình thức xử phạt bổ sung và biện pháp khắc phục hậu quả có tác động trực tiếp đến vận hành, bao gồm buộc hủy, xóa dữ liệu đến mức không thể khôi phục; đình chỉ hoạt động xử lý dữ liệu cá nhân/chuyển dữ liệu cá nhân xuyên biên giới; hoặc đình chỉ cung cấp dịch vụ. Đối với các doanh nghiệp phụ thuộc vào dữ liệu, các biện pháp này có thể gây gián đoạn hoạt động nghiêm trọng hơn mức phạt tiền.

2. Các nhóm vi phạm và chế tài mà doanh nghiệp cần lưu ý

2.1. Sự đồng ý

Theo Nghị Định 330, doanh nghiệp có thể bị phạt từ 30 triệu đồng đến 50 triệu đồng đối với các hành vi thiết lập phương thức mặc định đồng ý; tạo ra chỉ dẫn không rõ ràng hoặc gây hiểu lầm giữa đồng ý và không đồng ý; sử dụng hình thức xin sự đồng ý không bảo đảm chủ thể dữ liệu được đồng ý riêng đối với từng mục đích xử lý; hoặc không thông báo cho chủ thể dữ liệu biết dữ liệu cá nhân nhạy cảm của họ đang được xử lý. Việc coi sự im lặng hoặc không phản hồi là đồng ý, hoặc cố ý tiếp tục xử lý sau yêu cầu ngừng/hạn chế xử lý, có thể bị phạt từ 50 triệu đồng đến 70 triệu đồng. Ngoài ra, các vi phạm này có thể dẫn đến việc tịch thu phương tiện và buộc hủy, xóa toàn bộ dữ liệu được thu thập, xử lý dựa trên sự đồng ý không hợp lệ.

Căn cứ các quy định nêu trên, việc tuân thủ về sự đồng ý không chỉ nằm ở việc doanh nghiệp thu thập và lưu giữ bằng chứng về sự đồng ý, mà còn ở cách thức cơ chế thu thập sự đồng ý được thiết kế và vận hành. Doanh nghiệp nên rà soát các biểu mẫu và phương thức thu thập sự đồng ý, đặc biệt đối với phiếu đồng ý xử lý dữ liệu, cookie banner và các giao diện thu thập dữ liệu, để bảo đảm lựa chọn của chủ thể dữ liệu là rõ ràng, chủ động, có thể kiểm chứng và được tách riêng cho từng mục đích xử lý.

2.2. Quyền của chủ thể dữ liệu và thời hạn phản hồi

Hành vi không thiết lập quy trình, biểu mẫu và phân công trách nhiệm; không phản hồi yêu cầu hợp lệ trong 2 ngày làm việc; hoặc xử lý yêu cầu quá thời hạn luật định có thể bị phạt từ 10 triệu đồng đến 40 triệu đồng. Doanh nghiệp cũng có thể bị buộc thực hiện đầy đủ yêu cầu và cung cấp bằng chứng cho cơ quan có thẩm quyền.

Đối với doanh nghiệp, các quy định này cho thấy việc bảo đảm quyền của chủ thể dữ liệu cần được triển khai thành quy trình vận hành cụ thể, bao gồm cơ chế tiếp nhận và xử lý yêu cầu, xác định trách nhiệm giữa các bên tham gia xử lý và khả năng thực hiện yêu cầu xuyên suốt chuỗi xử lý dữ liệu, thay vì chỉ ghi nhận các quyền này trong chính sách bảo vệ dữ liệu cá nhân.

2.3. Thu thập, công khai, chuyển giao và xóa, hủy dữ liệu

Thu thập dữ liệu không đúng phạm vi, mục đích hoặc không có sự đồng ý có thể bị phạt từ 30 triệu đồng đến 50 triệu đồng; nếu đối tượng là dữ liệu nhạy cảm, mức phạt tăng lên 50 – 80 triệu đồng. Việc dùng biện pháp công nghệ, kỹ thuật để thu thập trái pháp luật có thể bị phạt từ 100 triệu đồng đến 800 triệu đồng, tùy theo loại dữ liệu và số lượng chủ thể dữ liệu bị ảnh hưởng.

Công khai dữ liệu không có căn cứ, vượt phạm vi cần thiết hoặc không có biện pháp kiểm soát có thể bị phạt đến 50 triệu đồng. Hành vi không xóa, hủy dữ liệu trong các trường hợp bắt buộc; khôi phục trái phép dữ liệu đã xóa, hủy hoặc tái nhận dạng dữ liệu đã khử nhận dạng có thể bị phạt đến 60 triệu đồng.

Đối với chuyển giao dữ liệu, doanh nghiệp cần xác định rõ vai trò của các bên, loại dữ liệu, mục đích, thời hạn lưu trữ, trách nhiệm bảo vệ và cơ chế thực hiện quyền của chủ thể dữ liệu. Việc chuyển giao dữ liệu nhạy cảm mà không áp dụng bảo mật vật lý, mã hóa, ẩn danh hoặc biện pháp bảo mật phù hợp có thể bị phạt đến 80 triệu đồng và buộc hủy, xóa dữ liệu nếu không thể bảo đảm an toàn.

2.4. Thông báo vi phạm dữ liệu

Nghị Định 330 phân biệt giữa nghĩa vụ thông báo chung và nghĩa vụ thông báo trong 72 giờ đối với vi phạm gây tổn hại hoặc có thể gây tổn hại đến quốc phòng, an ninh quốc gia, trật tự, an toàn xã hội hoặc xâm phạm tính mạng, sức khỏe, danh dự, nhân phẩm, tài sản của chủ thể dữ liệu. Thông báo quá 72 giờ trong các trường hợp này có thể bị phạt từ 40 triệu đồng đến 60 triệu đồng; không thực hiện biện pháp ngăn chặn, khắc phục hoặc không phối hợp với cơ quan chuyên trách có thể bị phạt đến 80 triệu đồng.

Do thời hạn 72 giờ được tính từ khi phát hiện vi phạm, doanh nghiệp cần có cơ chế phân loại sự cố ngay từ đầu, thẩm quyền quyết định rõ ràng và sự phối hợp kịp thời giữa các phòng ban, bộ phận có liên quan.

2.5. Hồ sơ đánh giá tác động

Việc không lập, duy trì, nộp hoặc cập nhật Hồ sơ đánh giá tác động xử lý dữ liệu cá nhân (“DPIA”) đúng thời hạn có thể bị phạt từ 20 triệu đồng đến 30 triệu đồng. Làm giả số liệu, cung cấp thông tin sai lệch hoặc từ chối hoàn thiện hồ sơ theo yêu cầu có thể bị phạt đến 100 triệu đồng. Ngoài ra, doanh nghiệp còn có thể bị buộc dừng hoạt động xử lý cho đến khi hoàn thành nghĩa vụ và được cơ quan chuyên trách xác nhận.

Đối với Hồ sơ đánh giá tác động chuyển dữ liệu cá nhân xuyên biên giới (“DTIA”), các vi phạm thủ tục bị phạt từ 30 triệu đồng đến 50 triệu đồng. Những vi phạm mang tính thực chất hơn – như không có văn bản ràng buộc trách nhiệm giữa bên chuyển và bên nhận dữ liệu xuyên biên giới, không bảo đảm cơ sở đồng ý/thông báo, thiếu biện pháp bảo mật, cản trở kiểm tra, tiếp tục chuyển sau khi có yêu cầu ngừng, hoặc không phối hợp xử lý sự cố tại bên nhận – có thể bị phạt từ 50 triệu đồng đến 100 triệu đồng, trước khi xem xét các mức phạt theo doanh thu đối với các trường hợp nghiêm trọng.

So với dự thảo được công bố vào tháng 3 năm 2026, Nghị Định 330 đã giảm đáng kể mức phạt đối với các vi phạm về DPIA/DTIA, đồng thời loại bỏ quy định nhân mức phạt theo số lượng chủ thể dữ liệu bị ảnh hưởng. Tuy nhiên, rủi ro buộc dừng xử lý hoặc dừng chuyển dữ liệu cho đến khi hồ sơ được hoàn thiện vẫn có thể tác động trực tiếp đến hoạt động kinh doanh của doanh nghiệp.

2.6. Nhân sự bảo vệ dữ liệu cá nhân và nhà cung cấp dịch vụ

Cơ quan, tổ chức không chỉ phải ban hành văn bản chỉ định nhân sự hoặc thành lập bộ phận bảo vệ dữ liệu cá nhân, mà còn phải xác định chức năng, nhiệm vụ, quyền hạn; ký thỏa thuận bảo mật; tổ chức đào tạo; và bảo đảm tiêu chuẩn về học vấn, kinh nghiệm của nhân sự. Vi phạm có thể bị cảnh cáo hoặc phạt đến 30 triệu đồng và buộc thay thế nhân sự không đủ điều kiện.

Nghị Định 330 cũng xử phạt tổ chức, cá nhân cung cấp dịch vụ bảo vệ dữ liệu hoặc kinh doanh dịch vụ xử lý dữ liệu khi không đáp ứng điều kiện, vượt phạm vi hợp đồng, truy cập hoặc sử dụng dữ liệu trái phép, hoặc tiếp tục kinh doanh sau khi giấy chứng nhận bị thu hồi. Mức phạt có thể đến 100 triệu đồng, kèm đình chỉ hoạt động 6 – 12 tháng và buộc xóa dữ liệu.

3. Chế tài theo lĩnh vực và công nghệ

Nghị Định 330 thiết kế các chế tài riêng cho nhóm chủ thể dữ liệu yếu thế (bao gồm trẻ em, người bị mất hoặc hạn chế năng lực hành vi dân sự, người có khó khăn trong nhận thức, làm chủ hành vi), tuyển dụng và lao động, y tế và bảo hiểm, quảng cáo, tài chính – ngân hàng, mạng xã hội, dữ liệu lớn, trí tuệ nhân tạo, chuỗi khối, điện toán đám mây, dữ liệu vị trí/sinh trắc học, và ghi âm, ghi hình tại nơi công cộng. Một số nội dung nổi bật bao gồm:

• Tuyển dụng và lao động: việc thu thập dữ liệu của ứng viên vượt quá mục đích tuyển dụng; không xóa, hủy dữ liệu của ứng viên không được tuyển dụng; theo dõi thiết bị/camera mà không thông báo cho người lao động; sử dụng dữ liệu của người lao động thu thập từ biện pháp công nghệ, kỹ thuật trái luật có thể bị phạt đến 100 triệu đồng.

• Quảng cáo: việc không cung cấp cơ chế từ chối nhận quảng cáo; sử dụng dữ liệu nhạy cảm/dữ liệu trẻ em trái quy định; theo dõi hành vi hoặc cá nhân hóa quảng cáo khi không có sự đồng ý có thể bị phạt đến 70 triệu đồng và đình chỉ cung cấp dịch vụ quảng cáo đến 6 tháng.

• Tài chính – ngân hàng: việc vi phạm nghĩa vụ thông báo sự cố, ghi nhật ký, đánh giá tuân thủ hàng năm; sử dụng dữ liệu cá nhân để chấm điểm tín dụng khi chưa có sự đồng ý có thể bị phạt đến 100 triệu đồng và đình chỉ cung cấp dịch vụ liên quan đến 6 tháng.

• Mạng xã hội: việc không có cơ chế từ chối cookies; buộc người dùng cung cấp giấy tờ tùy thân để xác thực tài khoản khi pháp luật chuyên ngành không có yêu cầu định danh; bí mật trích xuất danh bạ/tệp tin có thể bị phạt đến 150 triệu đồng và đình chỉ cung cấp dịch vụ đến 6 tháng.

• Trí tuệ nhân tạo, dữ liệu lớn và điện toán đám mây: việc vi phạm các quy định về đánh giá tuân thủ định kỳ, minh bạch về xử lý tự động, giám sát của con người, phân loại rủi ro, kiểm soát truy cập, mã hóa và ràng buộc nhà cung cấp/nhà thầu phụ có thể bị phạt đến 100 triệu đồng và đình chỉ hệ thống liên quan đến 6 tháng.

• Chủ thể dữ liệu yếu thế: việc không xóa, hủy dữ liệu cá nhân của trẻ em trong trường hợp bắt buộc có thể bị phạt đến 200 triệu đồng và đình chỉ xử lý đến 6 tháng.

4. Doanh nghiệp nên làm gì

Nghị Định 330 có hiệu lực ngay từ ngày ban hành và không quy định thời gian chuyển tiếp để doanh nghiệp hoàn thiện hệ thống tuân thủ. Theo đó, doanh nghiệp nên ưu tiên thực hiện các công việc sau:

• Lập bản đồ rủi ro chế tài;

• Kiểm tra cơ chế thu thập sự đồng ý của chủ thể dữ liệu;

• Thiết lập quy trình thực hiện quyền của chủ thể dữ liệu;

• Hoàn thiện DPIA và DTIA;

• Diễn tập ứng phó sự cố trong 72 giờ;

• Cập nhật hợp đồng và giám sát bên thứ ba:

• Rà soát yêu cầu theo lĩnh vực và công nghệ;

• Bảo đảm năng lực và thẩm quyền của lực lượng bảo vệ dữ liệu cá nhân.